04 Collegebrief 15 april 2025 ENSIA verantwoording 2024

gemeente Schiedam

Klant Contact Centrum

Stadskantoor, Stadserf 1 Postbus 1501 3100 EA Schiedam

Aan de gemeenteraad van Schiedam

14 010 schiedam.nl

uw kenmerk

uw brief van

ons kenmerk

datum

25UIT01545

15-04-2025

doorkiesnummer

e-mail

contact@schiedam.nl onderwerp

Raadsbrief ENSIA verantwoording 2024

Geachte leden van de gemeenteraad, De gemeente Schiedam verantwoordt zich dit jaar voor de achtste keer over de kwaliteit van de informatieveiligheid van haar informatiesystemen. Sinds 2017 gebeurt dit jaarlijks via de van Rijkswege verplichte Eenduidige Normatiek Single Information Audit (ENSIA). ENSIA heeft tot doel de ontwikkeling en implementatie van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid, dat is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO), het normenkader voor informatieveiligheid. Met de ENSIA wordt het toezicht gebundeld en wordt aangesloten op de gemeentelijke controlprocessen. Hierdoor krijgt het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. Aanvullend is het adequaat inrichten van verantwoordingsprocessen en verbeterprocessen essentieel. Zo blijft informatieveiligheid en privacy van de burgers gewaarborgd. Hoe staan we ervoor? Met ENSIA legt de gemeente Schiedam in één keer verantwoording af over informatieveiligheid op basis van de Baseline Informatiebeveiliging Overheid (BIO).

De verantwoordingsprocedure voor verschillende systemen, waaronder Digitale persoonsidentificatie (DigiD), de wet Structuur uitvoeringsorganisatie Werk en inkomen (Suwinet), de basisregistratie personen (BRP), wet- en regelgeving reisdocumenten, Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en de Basisregistratie Ondergrond (BRO) is geïntegreerd en vereenvoudigd. Dit zorgt voor een samenhangend proces waarbij alle beslispunten onderling zijn verbonden, wat vanuit het perspectief van de externe auditor van cruciaal belang is vanwege de integraliteit van zowel het formele verantwoordingsproces als lokale verbeteracties.

*25UIT01545*

Voor de verantwoording over DigiD en Suwinet wordt op basis van de uitkomsten van de zelfevaluatie de collegeverklaring informatiebeveiliging opgesteld. De verklaring geeft weer in hoeverre de beoogde (toets op opzet) en ingerichte (toets op bestaan) beheersingsmaatregelen en tevens de werking hiervan voldoen aan de geselecteerde normen inzake DigiD en Suwinet. De onafhankelijke IT-auditor heeft de Collegeverklaring Informatiebeveiliging en de daarbij behorende bijlagen op waarheidsgetrouwheid onderzocht en in een Assurance-rapport verklaard dat de collegeverklaring, uitgezonderd de gevolgen van het niet voldoen aan de toets op werking voor het onderdeel wijzigingsbeheer, in alle van materieel belang zijnde aspecten juist is. De auditor heeft vastgesteld dat de onderliggende procedure voor wijzigingsbeheer inmiddels is verbeterd en dat de verbeteracties hiermee reeds zijn opgepakt. Hiermee is de audit over de periode 2024 zonder aanvullende noodzakelijke verbeteringen afgesloten. Zowel de collegeverklaring als het Assurance Rapport zijn als geheime bijlage bij deze brief toegevoegd. De BAG, BGT en BRO zijn belangrijke onderdelen binnen het landelijk stelsel basisregistraties. Deze registraties zijn van groot belang voor een goede dienstverlening van de overheid.

De rapportages voor de BAG, BGT en BRO zijn opgesteld op basis van een zelfevaluatie, waarover zowel horizontale verantwoording aan de raad als verticale verantwoording aan het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties plaatsvindt. De BAG voldoet voor 82%, de BGT voor 91% en de BRO voor 76%. Alle drie de onderdelen scoren boven de normwaarde en voldoen hiermee aan de gestelde eisen. Risico bij het lekken van deze informatie Zowel het Assurance-rapport als de bij de collegeverklaring behorende bijlagen geven informatie over het al dan niet voldoen aan individuele beveiligingsnormen. Met de individueel getroffen maatregelen wordt gedetailleerde informatie gegeven over de staat van de informatieveiligheid van de gemeente Schiedam. De openbaarmaking van deze informatie over de informatieveiligheid vormt een potentieel beveiligingsrisico door het bieden van inzicht aan kwaadwillenden. Daarom zijn de documenten alleen bedoeld voor de gemeenteraad en rijksoverheid, en mogen deze niet worden verspreid naar anderen. Verstrekken geheime documenten aan de raad Op 15 april 2024 heeft het college op grond van artikel 87 van de Gemeentewet in samenhang met artikel 5.1, tweede lid, sub i van de Wet open overheid geheimhouding opgelegd op de bijlagen behorend bij deze brief. Het college heeft dit gedaan om te voorkomen dat informatie in verkeerde handen komt.

Op grond van artikel 89, tweede lid van de Gemeentewet wordt de verplichting tot geheimhouding in acht genomen door allen die van de informatie kennis dragen. Daarnaast blijft de geheimhouding op de stukken die aan de raad zijn verstrekt voortduren totdat de raad haar opheft conform artikel 89, derde lid van de Gemeentewet.

Vervolg Wij leggen door middel van de collegeverklaring verantwoording af aan de raad over de kwaliteit van informatieveiligheid van de informatiesystemen van de gemeente Schiedam. Dit vormt de basis voor het verantwoordingsproces aan de landelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Tegelijkertijd vormt dit de aftrap voor de uitvoering van de aanbevelingen, de voorbereidingen op de nieuwe ENSIA-audit en de verdere implementatie van de Baseline Informatiebeveiliging Overheid (BIO).

Hoogachtend, Burgemeester en wethouders van Schiedam, de secretaris,

de burgemeester,

C.E. Bos

mr. H.M. Bergmann

Bijlagen: -

(25BIJ00512) Collegeverklaring DigiD en Suwinet 2024 Gemeente Schiedam (geheim) (25BIJ00509) Behorend bij collegeverklaring, Bijlage 1.1 DigiD 2024 - SaaSleverancier_DigiD 1005279 Gemeente Schiedam (geheim) (25BIJ00510) Behorend bij collegeverklaring, Bijlage 1.2 DigiD 2024 - SaaSleverancier DigiD 1004571 Gemeente Schiedam (geheim) (25BIJ00511) Behorend bij collegeverklaring, Bijlage 2 Suwinet 2024 Gemeente Schiedam (geheim) (25BIJ00626) Assurancerapport ENSIA Gemeente Schiedam 2024 (geheim)